在CentOS系统中，虽然firewalld作为新一代的动态防火墙管理工具已成为默认配置，但许多资深运维工程师和系统管理员出于对性能、稳定性以及对细粒度控制的需求，依然倾向于使用经典的iptables，所谓的“升级”或“切换”到iptables，实际上是指卸载或停用firewalld，并部署iptablesservices以实现对数据包过滤的静态、高效管理，这一过程不仅能降低系统资源开销，还能让复杂的网络规则配置更加直观和可控，以下将详细阐述在CentOS环境下从默认防火墙迁移至iptables的完整流程、核心配置策略及高可用性保障方案。

停用默认防火墙并安装iptablesservices

在进行任何操作之前，必须明确核心目标：将系统的防火墙后端从firewalld切换为iptables，并确保规则在重启后依然生效，CentOS 7及以上版本默认使用firewalld，而iptables相关的命令行工具虽然预装,但缺乏服务管理组件。

需要停止并禁用firewalld服务，这是最关键的一步，避免两个防火墙管理工具同时运行导致规则冲突,执行以下命令：

systemctl stop firewalld
systemctl mask firewalld

随后，使用yum包管理器安装iptablesservices，该软件包提供了iptables和ip6tables的服务守护进程,能够保存并在系统启动时自动加载规则：

yum install iptablesservices y

安装完成后,启动iptables服务并设置为开机自启：

systemctl start iptables
systemctl enable iptables

系统已经从firewalld切换到了iptables环境，可以通过iptables L n命令查看当前的默认规则，通常情况下,安装后会加载一些基础的过滤规则。

核心规则配置与安全策略

安装服务仅仅是第一步，制定符合业务场景的安全策略才是核心，配置iptables遵循“最小权限原则”，即默认拒绝所有入站连接,仅开放必要的端口。

编辑配置文件/etc/sysconfig/iptables是管理持久化规则的最佳方式,以下是一个典型的高安全性Web服务器配置示例：

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
A INPUT m state state RELATED,ESTABLISHED j ACCEPT
A INPUT p icmp j ACCEPT
A INPUT i lo j ACCEPT
A INPUT p tcp m state state NEW m tcp dport 22 j ACCEPT
A INPUT p tcp m state state NEW m tcp dport 80 j ACCEPT
A INPUT p tcp m state state NEW m tcp dport 443 j ACCEPT
COMMIT

上述配置的逻辑非常严密：

1. 默认策略：将INPUT和FORWARD链的默认策略设置为DROP，OUTPUT设置为ACCEPT，这意味着除非明确允许,否则所有外部进入的数据包都会被丢弃。
2. 状态检测：m state state RELATED,ESTABLISHED j ACCEPT 这一条规则至关重要，它允许服务器对已建立的连接（如SSH会话或Web请求的响应）返回数据包,避免因防火墙阻断导致正常业务中断。
3. 本地回环：允许本地接口（lo）的通信，这对于数据库、缓存等本地服务间通信是必须的。
4. 端口开放：仅开放SSH（22）、HTTP（80）和HTTPS（443）端口。

修改完配置文件后,必须重启iptables服务使规则生效：

systemctl restart iptables

防止SSH连接中断的应急预案

在进行远程服务器防火墙配置时，最大的风险莫过于因规则设置错误导致自己被拒之门外，无法通过SSH连接服务器，为了规避这一风险，建议采用“安全回滚机制”。

一种专业的做法是使用at或cron任务设置一个定时器，在配置后的几分钟内自动恢复防火墙规则或重启iptables服务，如果在测试期间连接没有断开,再取消该定时任务。

在执行规则变更前,设置5分钟后自动重载防火墙或停止iptables：

echo "systemctl stop iptables" | at now + 5 minutes

或者编写一个脚本，将当前的规则保存为临时文件，并在5分钟后通过iptablesrestore恢复，如果新规则测试通过，立即使用atrm删除该任务,这种操作习惯体现了运维工作的严谨性与专业度。

性能优化与内核参数调优

iptables本身运行在内核态，其性能极高，但在高并发、高流量的场景下，连接跟踪表可能会成为瓶颈，为了进一步提升iptables的处理能力,需要对相关的内核参数进行调优。

编辑/etc/sysctl.conf文件,添加或修改以下参数：

1. 增加连接跟踪表大小：默认的连接跟踪表可能较小，容易在高并发下溢出。

   net.netfilter.nf_conntrack_max = 1000000
   net.nf_conntrack_max = 1000000

2. 缩短超时时间：对于非正常的连接，缩短其超时时间可以加快回收资源。

   net.netfilter.nf_conntrack_tcp_timeout_established = 1200
   net.netfilter.nf_conntrack_tcp_timeout_time_wait = 60
   net.netfilter.nf_conntrack_tcp_timeout_close_wait = 60
   net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 60

修改完成后，执行sysctl p使参数生效，这一步优化对于抗DDoS攻击和应对突发流量至关重要,能够显著提升iptables在高负载环境下的表现。

规则的保存与持久化验证

在CentOS中，使用iptablesservices最大的优势在于规则持久化的便捷性，与直接使用iptables命令不同，service iptables save或iptablessave命令会将当前内存中的规则直接写入/etc/sysconfig/iptables文件中。

每次手动调整规则后（例如通过命令行添加了一条临时允许的IP）,务必执行保存操作：

service iptables save

为了确保系统重启后规则无误，建议在维护窗口期进行一次重启测试，重启后使用iptables L n v检查规则的条目数和计数器,确认规则已正确加载。

相关问答

Q1: 在CentOS 8或Stream版本上，如何使用iptables？A: CentOS 8默认使用nftables作为后端，firewalld也是基于nftables，虽然可以安装iptablesservices，但官方已不再推荐，如果必须在CentOS 8上使用iptables语法，建议安装iptablesnft包，它提供了兼容iptables命令的接口，但底层依然调用nftables，操作步骤与CentOS 7类似，但需注意内核版本对模块的支持差异,建议优先测试环境验证。

Q2: 如何查看iptables规则被匹配的次数，以便优化安全策略？A: 使用iptables L v n命令，其中的v参数（verbose）会显示每个规则匹配到的数据包数量和字节数，通过观察这些计数器，管理员可以识别出哪些规则被频繁命中，哪些规则从未生效，从而清理无用规则，精简防火墙配置,提升处理效率。

通过上述步骤，我们不仅完成了从firewalld到iptables的平滑迁移，更通过精细化的规则配置和内核参数调优，构建了一个既安全又高效的网络防护屏障，在实际运维中，iptables的强大之处在于其逻辑的灵活性和对底层协议的深度控制，希望这份方案能帮助大家在生产环境中更从容地应对安全挑战，如果你在配置过程中遇到了特殊的网络拓扑问题，或者对某些高级模块（如nat表或raw表）有应用需求，欢迎在评论区分享你的场景,我们可以共同探讨最佳的解决方案。